Dal pacchetto all’evidenza: l’estrazione degli artefatti

Nell’analisi delle intrusioni, un artefatto è qualsiasi elemento osservabile e ripetibile che possiamo isolare dai dati grezzi: un indirizzo IP sorgente, una porta di destinazione, un hash di file trasferito, un dominio risolto via DNS, uno User-Agent HTTP anomalo, un certificato TLS auto-firmato. L’analista SOC estrae questi elementi da fonti eterogenee — full packet capture (PCAP), log di firewall, NetFlow, alert IDS/IPS (Snort/Firepower), log di proxy e DNS — per ricostruire cosa è accaduto.

L’estrazione segue la logica dei cinque tuple di NetFlow: IP sorgente, IP destinazione, porta sorgente, porta destinazione e protocollo. Un flusso non contiene il payload, quindi non vediamo cosa è stato trasferito, ma vediamo chi ha parlato con chi, quando, quanto e per quanto tempo. Questa distinzione è cruciale: NetFlow è ideale per rilevare pattern comportamentali (beaconing periodico verso un C2, esfiltrazione con volumi anomali in upload, port scanning), mentre per il contenuto serve il PCAP.

IOC vs IOA: evidenza contro comportamento

Questa è la distinzione concettuale centrale dell’unità.

Aspetto IOC (Indicator of Compromise) IOA (Indicator of Attack)
Natura Artefatto osservato, statico Comportamento/intento in corso
Momento A posteriori (post-mortem) In tempo reale, durante l’attacco
Esempi Hash malware, IP C2, dominio malevolo, chiave di registro Escalation di privilegi, lateral movement, dump di credenziali, code injection
Uso Threat hunting, blocklist, retro-hunting Detection precoce, blocco della kill chain

Un IOC risponde alla domanda “questo sistema è stato compromesso?” confrontando artefatti noti (feed di threat intelligence) con ciò che osservo. È utile ma reattivo: un hash o un IP cambiano facilmente, quindi un attaccante può eludere le firme IOC riscrivendo il binario o ruotando l’infrastruttura.

Un IOA risponde a “sto assistendo a un attacco adesso?” e descrive la sequenza di azioni indipendentemente dagli strumenti specifici. Rilevare che un processo Office genera una shell che scarica ed esegue codice è un IOA: non dipende dall’hash del payload, quindi resiste al polimorfismo. Gli IOA hanno valore predittivo e sono più difficili da eludere perché catturano la tecnica, non l’artefatto.

Correlazione NetFlow + log

Nessuna fonte è sufficiente da sola. La correlazione collega eventi tramite chiavi comuni (indirizzo IP, timestamp, hostname) per costruire una narrazione:

  • NetFlow mostra un host interno che apre connessioni brevi e regolari verso un IP esterno ogni 60 secondi → sospetto beaconing.
  • Il log DNS rivela che quell’IP è stato risolto da un dominio DGA (nome pseudo-casuale).
  • Il log proxy mostra POST HTTP verso quel dominio con User-Agent inconsueto.
  • L’alert IDS/Firepower conferma una signature nota.

Solo unendo i pezzi l’analista passa da “traffico anomalo” a “canale C2 attivo”. La sincronizzazione oraria (NTP) è un prerequisito: timestamp disallineati rendono la correlazione inaffidabile.

Threat intelligence e mappatura su MITRE ATT&CK

La threat intelligence fornisce contesto: reputation di IP/domini, hash noti, TTP di gruppi APT. Arricchendo gli artefatti estratti con feed CTI, l’analista assegna priorità e attribuzione.

MITRE ATT&CK è la matrice che classifica il comportamento avversario in tattiche (il “perché”, es. Initial Access, Persistence, Command and Control, Exfiltration) e tecniche (il “come”, es. T1071 Application Layer Protocol, T1059 Command and Scripting Interpreter). Mappare le tecniche osservate su ATT&CK trasforma alert isolati in una kill chain leggibile, evidenzia le lacune di visibilità e standardizza la comunicazione tra team. Un IOA corrisponde naturalmente a una tecnica ATT&CK; un IOC è invece l’artefatto residuo che quella tecnica lascia dietro di sé.

Trappole tipiche d’esame

  • Scenario: la domanda descrive un comportamento in corso (es. “un processo tenta di dumpare le credenziali LSASS”) → è un IOA, non un IOC. L’IOC è evidenza statica/post-mortem; l’IOA descrive l’attività/intento durante l’attacco.
  • Scenario: chiedono di rilevare esfiltrazione o beaconing senza vedere il contenuto → scegli NetFlow, non il full packet capture. NetFlow espone volumi, durata e periodicità dei flussi; non serve il payload per il pattern comportamentale.
  • Scenario: hash malware, IP C2 o dominio malevolo da un feed CTI → sono IOC. Servono per blocklist e retro-hunting, ma sono facilmente eludibili ruotando infrastruttura/binari.
  • Scenario: classificare perché vs come dell’avversario → la tattica ATT&CK è l’obiettivo (perché), la tecnica è il metodo (come). Non invertirli: Exfiltration è tattica, T1048 è tecnica.
  • Scenario: correlare eventi tra fonti diverse → la chiave è l’IP/timestamp comune con NTP sincronizzato. Timestamp non allineati sono la causa classica di correlazione fallita proposta come distrattore.